OrchidSpectrum
Kayıtlı Kullanıcı
O meşhur SMS onay kodları... Bir bankacılık işlemi yapacaksın, hop, ekranına bir uyarı düşer: "Cep telefonunuza gönderilen kodu giriniz." İyi de, o kod bazen gelmez. Gelmez, gelmez, gelmez... Dakikalar geçer, işlemi yapsan mı yapmasan mı bilemezsin. Hattında problem mi var, yoksa baz istasyonuyla aranız mı bozuk, bilemezsin abi ya, resmen sinir harbine dönüşür vaziyet. Hele bir de acilse o işlem, vallahi billahi kafayı yersin.
İşin teknik boyutu da cabası. Hani sanırsın saniyeler içinde ışık hızıyla gelir, öyle ya, küçücük bir metin mesajı. Ama o küçücük mesajın ardında bir sürü katman var: Bankanın SMS gateway entegrasyonu, operatörlerin API çağrıları, ağdaki yoğunluk, baz istasyonuyla cihazın arasındaki ping süresi... Bazen bir operatörün altyapısında minicik bir kesinti, binlerce kullanıcının onay kodu alma sürecini sekteye uğratabilir, siber güvenlik protokollerinin ta kendisi de işte burada devreye giriyor. Bir de dolandırıcılar var tabii, sosyal mühendislik yöntemleriyle o kodları senden bir şekilde almak için kollarını sıvamış bekliyorlar, sanki banka değil de şebeke operatörüymüş gibi arayıp duruyorlar bazen...
Peki, bankanın web sitesi bu kriz anlarında ne yapmalı? Sadece "Tekrar SMS gönder" butonuyla oturup beklemek mi tek çözüm? Tabii ki hayır. Burada devreye çok daha sofistike mekanizmalar girmeli; alternatif doğrulama yöntemleri, örneğin. Mobil uygulama üzerinden push bildirimle onay, ya da belirlenmiş birkaç güvenlik sorusunu sorarak kimlik doğrulama. Belki de bir sanal klavye üzerinden girilen, daha önceden tanımlanmış bir PIN kodu sistemi... Sadece tek bir kanala bağımlılık, sistemin en zayıf halkası haline gelir, bunu yıllardır anlatıyoruz.
İki faktörlü kimlik doğrulama (2FA) dediğimiz mevzu, aslında tam da bu yüzden var. Tek başına bir şifre yetmez, yanına bir de "sahip olduğun bir şey" ya da "bildiğin bir şey" eklenir. SMS kodu, işte o "sahip olduğun şey" kategorisine girer; yani telefonuna. Ama telefonun çekmiyorsa, SIM kartın bozulduysa, ya da yurt dışındaysan ve roaming ücreti ödemek istemiyorsan, ne olacak? Banka web sitesinin kullanıcı arayüzü (UI) ve kullanıcı deneyimi (UX) mühendisleri, bu senaryoları öngörmeli ve bir "failover" mekanizması sunmalıydı çoktan. Latency dediğimiz o gecikme süreleri, kullanıcı memnuniyetini doğrudan etkiliyor sonuçta...
Bu noktada akıllara şu soru düşüyor: Bankalar, bu SMS bağımlılığından ne zaman tamamen kurtulacak? Ya da daha doğru bir ifadeyle, çok daha sağlam ve yedekli sistemleri ne zaman tam anlamıyla devreye alacaklar? Çünkü siber dolandırıcılık vakaları artarken, sadece SMS'e güvenmek, adeta açık kapı bırakmak gibi. Kullanıcıların dijital okuryazarlığı artsa da, sistemin zafiyetleri her zaman bir risk unsuru taşır. Bir API çağrısı geri dönmediğinde, bankanın backend sistemleri bir çıkış yolu sunmalı, değil mi? Redundancy sadece donanımsal değil, süreçsel de olmalı...
Banka web sitesi, aslında sadece bir arayüz değil, aynı zamanda siber güvenlik stratejisinin de bir vitrini. Buraya gelen kullanıcıya "SMS kodunuz gelmiyorsa ne yapmalı?" sorusunun cevabı, net ve çeşitli seçeneklerle sunulmalı. Tekrar tekrar aynı butona tıklamak, bir çözüm değil. Bu, sorunu görmezden gelmek, geçiştirmek gibi bir şey... Dijitalleşmenin bu denli ilerlediği bir çağda, bu tip aksaklıklar, markanın güvenilirliğini de zedeler, insanları alternatif kanallara itebilir. Kendi kendine konuşuyormuş gibi hissediyor insan: "Yahu, bunu düşünmemişler mi?" diye...
İşin teknik boyutu da cabası. Hani sanırsın saniyeler içinde ışık hızıyla gelir, öyle ya, küçücük bir metin mesajı. Ama o küçücük mesajın ardında bir sürü katman var: Bankanın SMS gateway entegrasyonu, operatörlerin API çağrıları, ağdaki yoğunluk, baz istasyonuyla cihazın arasındaki ping süresi... Bazen bir operatörün altyapısında minicik bir kesinti, binlerce kullanıcının onay kodu alma sürecini sekteye uğratabilir, siber güvenlik protokollerinin ta kendisi de işte burada devreye giriyor. Bir de dolandırıcılar var tabii, sosyal mühendislik yöntemleriyle o kodları senden bir şekilde almak için kollarını sıvamış bekliyorlar, sanki banka değil de şebeke operatörüymüş gibi arayıp duruyorlar bazen...
Peki, bankanın web sitesi bu kriz anlarında ne yapmalı? Sadece "Tekrar SMS gönder" butonuyla oturup beklemek mi tek çözüm? Tabii ki hayır. Burada devreye çok daha sofistike mekanizmalar girmeli; alternatif doğrulama yöntemleri, örneğin. Mobil uygulama üzerinden push bildirimle onay, ya da belirlenmiş birkaç güvenlik sorusunu sorarak kimlik doğrulama. Belki de bir sanal klavye üzerinden girilen, daha önceden tanımlanmış bir PIN kodu sistemi... Sadece tek bir kanala bağımlılık, sistemin en zayıf halkası haline gelir, bunu yıllardır anlatıyoruz.
İki faktörlü kimlik doğrulama (2FA) dediğimiz mevzu, aslında tam da bu yüzden var. Tek başına bir şifre yetmez, yanına bir de "sahip olduğun bir şey" ya da "bildiğin bir şey" eklenir. SMS kodu, işte o "sahip olduğun şey" kategorisine girer; yani telefonuna. Ama telefonun çekmiyorsa, SIM kartın bozulduysa, ya da yurt dışındaysan ve roaming ücreti ödemek istemiyorsan, ne olacak? Banka web sitesinin kullanıcı arayüzü (UI) ve kullanıcı deneyimi (UX) mühendisleri, bu senaryoları öngörmeli ve bir "failover" mekanizması sunmalıydı çoktan. Latency dediğimiz o gecikme süreleri, kullanıcı memnuniyetini doğrudan etkiliyor sonuçta...
Bu noktada akıllara şu soru düşüyor: Bankalar, bu SMS bağımlılığından ne zaman tamamen kurtulacak? Ya da daha doğru bir ifadeyle, çok daha sağlam ve yedekli sistemleri ne zaman tam anlamıyla devreye alacaklar? Çünkü siber dolandırıcılık vakaları artarken, sadece SMS'e güvenmek, adeta açık kapı bırakmak gibi. Kullanıcıların dijital okuryazarlığı artsa da, sistemin zafiyetleri her zaman bir risk unsuru taşır. Bir API çağrısı geri dönmediğinde, bankanın backend sistemleri bir çıkış yolu sunmalı, değil mi? Redundancy sadece donanımsal değil, süreçsel de olmalı...
Banka web sitesi, aslında sadece bir arayüz değil, aynı zamanda siber güvenlik stratejisinin de bir vitrini. Buraya gelen kullanıcıya "SMS kodunuz gelmiyorsa ne yapmalı?" sorusunun cevabı, net ve çeşitli seçeneklerle sunulmalı. Tekrar tekrar aynı butona tıklamak, bir çözüm değil. Bu, sorunu görmezden gelmek, geçiştirmek gibi bir şey... Dijitalleşmenin bu denli ilerlediği bir çağda, bu tip aksaklıklar, markanın güvenilirliğini de zedeler, insanları alternatif kanallara itebilir. Kendi kendine konuşuyormuş gibi hissediyor insan: "Yahu, bunu düşünmemişler mi?" diye...